プリプレイ攻撃

EMVクリプトグラムは、金額、日付、カードの取引カウンタ、そして端末が出す4バイトの乱数に結び付けられている。この乱数がタグ9F37の「予測不能数」で、再生攻撃への防御はすべて、この数が名前どおり予測不能であることに懸かっている。2012年、マイク・ボンド、スティーブン・マードック、ロス・アンダーソンらケンブリッジ大学の研究者は、実際にはそうでないことが多いと示した。一部のATMはカウンタや脆弱な生成器を使っていたのだ。店に仕掛けた改ざん端末などでカードに短時間触れられれば、後でATMが選びそうな数に対する署名を、カードに先に作らせることができる。

より根の深い問題はプロトコルそのものにある。発行会社は誰が乱数を選んだのかを判別できないので、端末を支配する攻撃者は自分で選べばよい。論文の題は「Chip and Skim」で、まさにその通りだった。